全國中等學校田徑錦標賽報名系統 SQL Injection、任意檔案上傳導致RCE

Vulnerability Overview

ZDID: ZD-2026-00894
發信 Vendor: {全國中等學校田徑錦標賽}
Title: 全國中等學校田徑錦標賽報名系統 SQL Injection、任意檔案上傳導致RCE
Introduction: 未驗證檔案類型，可上傳 PHP webshell

處理狀態

目前狀態

公開

Last Update : 2026/09/03

新提交
已審核
已通報
已修補
已複測
公開

處理歷程

2026/07/02 15:48:30 : 新提交 (由 Bun_. 更新此狀態)
2026/07/02 15:49:22 : 新提交 (由 Bun_. 更新此狀態)
2026/07/07 13:42:14 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/23 16:34:30 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/07/23 16:34:30 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2026/08/31 17:34:19 : 複測申請中 (由組織帳號更新此狀態)
2026/09/02 10:47:20 : 確認已修補 (由 Bun_. 更新此狀態)
2026/09/03 03:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2026-00894
通報者：Superliverbun (Bun_.)
風險：嚴重
類型：任意檔案上傳 (Arbitrary File Upload)

參考資料

攻擊者可上傳任意檔案至該主機，有機會經由上傳之文件取得該主機系統權限。

漏洞說明： OWASP - Unrestricted File Upload
https://www.owasp.org/index.php/Unrestricted_File_Upload

漏洞說明： CWE-434: Unrestricted Upload of File with Dangerous Type
https://cwe.mitre.org/data/definitions/434.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

全國中等學校田徑錦標賽線上報名系統同時存在 SQL Injection 與任意檔案上傳導致 RCE 等多項嚴重漏洞。
一、SQL Injection（score_query_adv.php）
成績查詢功能的 POST 參數 sel_date、sel_event 未經過濾即帶入 SQL 查詢，存在注入漏洞，可驗證三種注入皆成立，且當前使用者具備 root（DBA）權限：

Boolean-based blind
Time-based blind（MySQL SLEEP）
UNION query（155 columns）
當前使用者：current user is DBA: True
後端 DBMS：MySQL（MariaDB fork）／Linux CentOS 7／Apache 2.4.6／PHP 5.4.16

sqlmap -r req100.txt -p sel_date,sel_event --batch --random-agent --is-dba --dbms=mysql

二、任意檔案上傳導致 RCE
檔案上傳功能（upload_entry_form.php、upload_payment_voucher.php）未對上傳檔案進行充分驗證，可透過雙副檔名（如 shell.pdf.php）繞過並上傳含惡意 PHP 程式碼的 webshell，被伺服器轉存為 .php 後置於公開可存取目錄。直接以 URL 觸發即可執行任意系統指令：

https://w201.tcctf.idv.tw/hsgame2025/voucher/211_23_179_64_1782976815_R0000.php?cmd=id;whoami

成功以 apache 權限執行任意系統指令（RCE）。

三、目錄瀏覽導致個資外洩
上傳目錄未禁止目錄瀏覽（Directory Listing），任何人皆可直接瀏覽並下載其他報名者上傳的所有報名表與繳費憑證：

https://w201.tcctf.idv.tw/hsgame2025/voucher/
https://w201.tcctf.idv.tw/hsgame2025/entry_form/

下載到的繳費憑證含有報名單位的銀行轉帳資訊，包括轉出／轉入帳號、轉帳金額、交易序號、轉帳日期及備註（單位名稱）等敏感資料：

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

全國中等學校田徑錦標賽報名系統 SQL Injection、任意檔案上傳導致RCE - HITCON ZeroDay

Vulnerability Detail Report